🎉 20% de réduction avec le code LAUNCH20 · se termine le 8 nov.🎉 20% de réduction · code LAUNCH20Réclamer l'offreRécupérer
Rédigez des publications avec Claude et d'autres assistants IA grâce à AeroReply.Brouillons de publications avec ClaudeDécouvrez commentDécouvrez comment
Utilisation ce mois-ciFacturé sur votre propre compte fournisseur
9:41
Jetons chiffrés au repos API officielles uniquement
Suivez vos données avec AeroReply
Choisissez quelque chose que vous nous confiez et voyez exactement où cela va et comment c’est protégé.
1Votre navigateur
2HTTPS · TLS
3API AeroReply
4AES-256-GCM
Stocké chiffré
Chiffrement en transit et au repos
Chaque requête vers AeroReply est servie en HTTPS, avec des certificats TLS émis et renouvelés automatiquement par notre proxy en périphérie. Les données sensibles que nous conservons pour vous sont chiffrées au repos avec AES-256-GCM, à l’aide d’un vecteur d’initialisation neuf pour chaque valeur et d’une balise d’authentification pour chaque enregistrement. Cela couvre les jetons d’accès et de rafraîchissement OAuth de vos comptes sociaux connectés, les secrets client de la plateforme, les identifiants fournisseurs stockés et les destinations de webhook. Les clés de chiffrement sont fournies à l’application via l’environnement et ne sont jamais écrites dans la base de données avec les données qu’elles protègent.
Authentification et contrôle d’accès
Les mots de passe sont hachés avec bcrypt avec un facteur de coût de 12 et ne sont jamais stockés, consignés ni récupérables en clair. Une session connectée utilise un jeton d’accès de courte durée (15 minutes par défaut) associé à un jeton d’actualisation de longue durée qui n’existe dans notre base de données que sous forme de hash SHA-256 ; chaque actualisation fait pivoter ce jeton, et la réutilisation d’un jeton déjà pivoté est considérée comme un vol et révoque toutes les sessions actives de ce compte. Les points de terminaison de connexion, les réinitialisations de mot de passe et les points de terminaison publics sont soumis à une limitation par IP. Dans un espace de travail, l’accès est régi par des rôles reliés à un catalogue fin de permissions, et chaque point de terminaison limité à un espace de travail vérifie votre appartenance et la permission spécifique avant toute lecture ou écriture. Les clés d’API publiques sont générées avec des octets aléatoires cryptographiquement sûrs, affichées une seule fois, et stockées uniquement sous forme de hash SHA-256 à côté d’un préfixe d’affichage tronqué — nous ne pouvons vraiment pas récupérer une clé perdue, seulement la faire pivoter ou la révoquer — et chaque clé comporte un scope explicite de lecture ou d’écriture appliqué à chaque route.
Infrastructure et hébergement
AeroReply fonctionne comme une pile conteneurisée — application web, API, workers d’arrière-plan, PostgreSQL et Redis — derrière un unique proxy inverse qui termine le TLS. Les bases de données n’exposent aucun port sur Internet ; le proxy est le seul composant qui accepte le trafic entrant. Les médias téléversés sont stockés dans un stockage d’objets et écrits via des uploads pré-signés à durée de vie courte, et non dans un bucket largement accessible en écriture. Au niveau de l’API, nous appliquons le durcissement HTTP standard : en-têtes de sécurité, liste blanche explicite d’origines CORS plutôt qu’un joker, et limites de taille pour le corps des requêtes. Toute URL que vous fournissez et que nous appelons ensuite — une destination de webhook, un flux importé — est d’abord validée par rapport aux plages d’adresses privées, loopback et réservées, afin que la plateforme ne puisse pas servir à atteindre des réseaux internes.
Sauvegarde et reprise après sinistre
La base de données de production est sauvegardée chaque nuit de façon automatisée, puis l’archive est envoyée vers un stockage d’objets hébergé séparément de l’hôte de l’application. Redis fonctionne avec une persistance en ajout uniquement, afin que les tâches en file d’attente et en cours — publications planifiées, rendus, livraisons — survivent à un redémarrage au lieu d’être supprimées en silence. Les actions destructrices du produit reposent par conception sur des suppressions logiques : les enregistrements supprimés sont marqués et exclus de tous les parcours de lecture plutôt qu’effacés immédiatement, ce qui permet de récupérer une suppression accidentelle. Nous ne publions pas de délai de reprise ni d’objectif de point de reprise contractuel, et nous préférons le dire plutôt que d’annoncer un chiffre que nous n’avons pas testé. Si votre organisation a besoin d’engagements de reprise précis par écrit, contactez-nous avant d’acheter.
Sous-traitants
Nous faisons appel à un petit nombre de tiers pour faire fonctionner le service, et nous ne vendons, ne louons ni n’échangeons vos données avec qui que ce soit. Les paiements et la facturation des abonnements sont gérés par Stripe, qui traite directement les données de carte — les numéros de carte n’atteignent jamais nos serveurs. Les médias téléversés sont stockés sur Amazon S3. Les e-mails transactionnels sont envoyés via notre fournisseur de messagerie. Les fonctionnalités d’IA appellent le fournisseur de modèle configuré pour votre espace de travail, et votre contenu n’est envoyé à ce fournisseur qu’au moment où vous utilisez une fonctionnalité d’IA. Les fonctions de publication, de messagerie et d’analyse échangent des données avec les plateformes sociales que vous choisissez de connecter, selon les conditions propres à ces plateformes. Si vous avez besoin de la liste actuelle des sous-traitants dans un format que vous pouvez joindre à un examen fournisseur, écrivez-nous et nous vous l’enverrons.
Divulgation responsable
Si vous pensez avoir découvert une vulnérabilité, veuillez la signaler à security@aeroreply.com avant toute divulgation ailleurs. Incluez suffisamment de détails pour que nous puissions reproduire le problème : une preuve de concept, le point de terminaison concerné et l’impact. Nous accuserons réception de chaque signalement de bonne foi, vous tiendrons informé pendant notre traitement et vous créditerons si vous le souhaitez. En retour, nous vous demandons de ne pas lancer de scanners automatisés sur la production, de ne pas dégrader le service pour les autres clients, et de ne pas accéder, modifier ou conserver des données appartenant à quiconque d’autre que vous. Nous n’engagerons pas de poursuites contre les chercheurs agissant de bonne foi dans ces limites.
Des réponses directes de la part des créateurs
Position de conformité
Des réponses précises plutôt que des badges
Nous ne sommes actuellement pas certifiés SOC 2, ISO 27001 ni selon aucun référentiel comparable, et nous ne laisserons pas entendre le contraire. Les pratiques ci-dessus reflètent la manière dont le système est conçu aujourd’hui, et nous serons ravis de les passer en revue avec vous. Vous pouvez supprimer votre espace de travail à tout moment, et la déconnexion d’un compte social efface les jetons que nous avons stockés pour celui-ci.
Questionnaires de sécurité remplis sur demande
Accords de traitement des données disponibles
Les rappels de suppression des données de la plateforme sont pris en compte
